Ein Cyberangriff lässt keine Zeit zum Nachdenken. Er trifft an einem Freitagabend oder einem Montagmorgen, er betrifft die Personen, die Bescheid wissen, und er versetzt alle in einen Zustand, in dem Entscheidungen schlecht getroffen werden.
Das ist ein bekanntes und völlig normales Phänomen: Unter Stress verengt sich die Aufmerksamkeit, das Gedächtnis für Details verblasst, und man vergisst Selbstverständliches wie die Nummer des eigenen Dienstleisters. Der Reaktionsplan existiert genau aus diesem Grund. Er macht Ihr Unternehmen während der Krise nicht klüger, er erspart ihm, es sein zu müssen.
Was verändert ein schriftlicher Plan tatsächlich?
Ein Reaktionsplan bei Vorfällen ist ein Dokument, das im Voraus beschreibt, wer was tut, wenn ein Angriff entdeckt wird. Nicht mehr.
Sein Wert liegt nicht im technischen Inhalt, der oft bescheiden ausfällt, sondern im Zeitpunkt, zu dem er geschrieben wurde. Dieselben Fragen, gestellt an einem ruhigen Dienstagnachmittag und an einem Sonntagabend mitten im Angriff, erhalten nicht dieselben Antworten. In Ruhe nimmt man sich die Zeit, die Versicherung anzurufen, um zu prüfen, was die Police abdeckt. Unter Druck zahlt man ein Lösegeld, weil niemand weiss, wo die Backups liegen.
Der Plan verwandelt also eine Reihe schwieriger Entscheidungen in eine Reihe einfacher Ausführungen. Am entscheidenden Tag lautet die Frage nicht mehr «Was ist zu tun?», sondern «Wo stehen wir auf der Liste?».
Typisches Szenario: Ein Bauunternehmen mit zwölf Mitarbeitenden entdeckt an einem Samstag, dass seine Dateien verschlüsselt sind. Der Geschäftsführer ist auf Reisen, die Person, die sich «um die IT kümmert», weiss nicht, ob sie den Server abschalten darf, und der Vertrag des Dienstleisters liegt in einem verschlossenen Schrank. Drei Stunden vergehen, bis der erste hilfreiche Anruf getätigt wird. Keine dieser drei Stunden ging aufgrund mangelnder Kompetenz verloren: Sie gingen aufgrund fehlender schriftlicher Entscheidungen verloren.
Ein bis zwei Seiten, nicht mehr
Das ist der Punkt, der einen nutzbaren Plan von einem Alibi-Dokument unterscheidet, und er verdient es, unumwunden gesagt zu werden: Wenn Ihr Plan länger als zwei Seiten ist, wird er am Tag des Vorfalls nicht gelesen.
Lange Dokumente wirken seriös. Sie beruhigen in Sitzungen. Doch ein fünfzigseitiger Ordner setzt voraus, dass jemand in einer Krisensituation darin blättert, um den richtigen Abschnitt zu finden. Das geschieht nie. Was geschieht, ist, dass man eine Nummer in seinen E-Mails sucht, jemanden aufs Geratewohl anruft, und der Ordner im Regal bleibt.
Ein zweiseitiger Plan passt auf den Tisch. Er liest sich in drei Minuten. Er kann kopiert und an vier Personen verteilt werden. Diese Kürze ist kein Zugeständnis an die geringe Grösse Ihres Unternehmens, sie ist die Voraussetzung dafür, dass der Plan tatsächlich genutzt wird.
Der kurze Plan ersetzt nicht die detaillierten technischen Verfahren Ihres Dienstleisters, die dessen Sache sind. Er legt die Entscheidungsstruktur und die ersten Schritte fest. Der Rest lässt sich improvisieren, sofern diese Punkte bereits geklärt sind.
Was muss der Plan enthalten, Abschnitt für Abschnitt?
Hier ist der Inhalt, den Sie unverändert übernehmen können. Jede Zeile entspricht einem Block von wenigen Sätzen in Ihrem Dokument.
| Abschnitt | Was er enthält | Häufige Fehlerquelle |
|---|---|---|
| Wer entscheidet | Name und Mobilnummer der entscheidenden Person, dazu deren Stellvertretung und die Frist, nach der diese übernimmt | Nur eine einzige Person angeben |
| Kontakte | IT-Dienstleister, Versicherung und Policennummer, Anwalt, Bank, NCSC, Kantonspolizei | Zentralennummern statt Direktleitungen |
| Erste Schritte | Vom Netzwerk trennen, ohne abzuschalten, nichts neu formatieren, nicht sofort wiederherstellen, Uhrzeit jeder Handlung notieren | Sie zu technisch formulieren |
| Backups | Wo sie sich befinden, auf welchem Medium, wer Zugriff hat, wie eine Wiederherstellung gestartet wird | «Auf dem NAS» ohne weitere Angaben schreiben |
| Kommunikation | Musternachrichten für Mitarbeitende, Kundschaft und Partner, und wer sie versendet | Die Nachrichten erst während der Krise verfassen |
| Was man nicht tut | In den ersten Stunden nicht zahlen, nicht ohne Freigabe mit der Presse sprechen, keine Spuren löschen | Diesen Abschnitt vergessen, den kürzesten und nützlichsten |
Zwei Präzisierungen zu den Kontakten. Notieren Sie direkte Mobilnummern, keine Zentralen: Eine Zentrale antwortet sonntags nicht. Und klären Sie mit Ihrem Dienstleister dessen tatsächliche Einsatzzeiten sowie die vertragliche Reaktionsfrist, zwei Angaben, die viele Geschäftsleitungen erst im ungünstigsten Moment entdecken.
Für die technische Seite ist der Ablauf der ersten Schritte in unserem Artikel zu den ersten 24 Stunden eines Cyberangriffs ausgeführt, und die Liste der Schweizer Ansprechstellen in wen man bei einem Vorfall kontaktiert.
Der Plan muss ausgedruckt sein
Das ist der wichtigste Punkt dieses Artikels, und der am häufigsten übersehene.
Ein auf dem Unternehmensserver gespeicherter Reaktionsplan wird zusammen mit den übrigen Dateien verschlüsselt. Ein in einem Online-Speicher abgelegter Plan, dessen Passwort im Passwort-Manager liegt, der selbst auf einem unerreichbaren Rechner läuft, erleidet dasselbe Schicksal. Das Dokument, das Ihnen dienen soll, wenn alles blockiert ist, darf nicht von dem abhängen, was blockiert ist.
Drucken Sie den Plan in mehreren Exemplaren aus und bewahren Sie sie ausserhalb der IT-Systeme auf: bei der Geschäftsleitung, bei der für die IT verantwortlichen Person, gegebenenfalls am Wohnsitz der Geschäftsleitung. Dieselbe Regel gilt für Notfall-Zugangsdaten: Die Administratorzugänge zum Server, zur Firewall und zum Backup-Speicher müssen auf Papier vorliegen, in einem versiegelten Umschlag oder einem Tresor, mit einem Vermerk, wer ihn wann öffnet.
Der Test ist einfach. Stellen Sie sich vor, alle Ihre Systeme sind unerreichbar, an einem Sonntag, die Räumlichkeiten geschlossen. Wenn Sie trotzdem an den Plan und an die Notfall-Zugangsdaten herankommen, ist Ihre Aufbewahrung sicher. Wenn nicht, muss sie überarbeitet werden.
Rollen verteilen, nicht nur Namen
Ein wirksamer Plan weist drei unterschiedliche Funktionen zu.
Wer entscheidet. Diese Person trifft die Abwägungen: die Produktion stoppen oder nicht, die Kundschaft informieren oder nicht, Kosten verursachen oder nicht. In der Regel ist das die Geschäftsleitung, und sie braucht unbedingt eine benannte Stellvertretung.
Wer die Technik übernimmt. Diese Person hält den Kontakt zum Dienstleister, setzt die ersten Schritte um und führt das zeitgestempelte Protokoll der Massnahmen. Sie muss keine Ingenieurin sein, sie muss wissen, wen man anruft und was man notiert.
Wer spricht. Zuerst zu den Mitarbeitenden, dann zur Kundschaft und zu den Partnern. Eine einzige Stimme, um widersprüchliche Versionen zu vermeiden, die dem Vertrauen mehr schaden als der Vorfall selbst.
In einem Unternehmen mit acht Mitarbeitenden übernimmt dieselbe Person oft zwei dieser Rollen. Das ist normal und kein Problem. Ein Problem ist es, dies nicht schriftlich festzuhalten: eine nicht formalisierte Bündelung führt entweder zu Aufgaben, die niemand übernimmt, oder zu zwei Personen, die denselben Dienstleister mit widersprüchlichen Anweisungen anrufen.
Denken Sie auch an die Verfügbarkeit. Eine Rolle, die einer einzigen Person zugewiesen ist, die drei Wochen pro Jahr in den Ferien ist, lässt eine dreiwöchige Lücke in Ihrem Dispositiv.
Wie testet man den Plan einmal jährlich?
Ein nie getesteter Plan ist eine Annahme, keine Vorbereitung. Die für ein KMU geeignete Übung heisst Tabletop-Übung und dauert eine Stunde.
Versammeln Sie die im Plan genannten Personen um einen Tisch, ohne ein System zu berühren. Lesen Sie ein Szenario laut vor, zum Beispiel: Montag, 7 Uhr, die Dateien auf dem Server sind verschlüsselt, und eine Lösegeldforderung erscheint. Jede Person erklärt dann nacheinander, was sie in den ersten dreissig Minuten tut, wen sie anruft und mit welcher Nummer. Anschliessend führen Sie eine Komplikation ein: Die entscheidende Person antwortet nicht, oder der Dienstleister kündigt eine Frist von vier Stunden an.
Eine einzige Person macht sich Notizen, und nur zu den Blockaden: eine fehlende Information, eine veraltete Nummer, eine Entscheidung, die sich niemand zu treffen befugt fühlt. Diese Notizen werden zur Liste der Korrekturen, die in den folgenden Tagen am Plan vorzunehmen sind, mit jeweils einer verantwortlichen Person und einer Frist.
Bitten Sie während der Sitzung die für die Backups verantwortliche Person, live eine beliebige Datei wiederherzustellen, und stoppen Sie die Zeit. Damit messen Sie auf einen Schlag die Zuverlässigkeit Ihrer Backup-Strategie und wie realistisch Ihr Plan ist.
Der Zeitplan zählt genauso viel wie die Übung selbst. Der Plan muss bei jedem Wechsel des Dienstleisters, der Versicherung oder einer Person in einer Rolle überprüft werden. Die Kontakte sind der am schnellsten veraltende Teil des Dokuments, und ein Plan mit veralteten Nummern ist schlimmer als gar kein Plan: Er erweckt den Anschein, vorbereitet zu sein.
Wo endet, was Sie allein tun können?
Diesen Plan zu schreiben, ist für jedes KMU machbar. Die obige Vorlage reicht aus, es ist kein Budget nötig, und ein halber Tag Arbeit bringt Sie in eine deutlich bessere Lage als die Mehrheit der Unternehmen Ihrer Grösse.
Was jedoch nicht in Ihrer Hand liegt, ist zu wissen, ob dieser Plan einem echten Angriff standhält. Fast jeder Plan, der jemals mit einem ernsten Szenario konfrontiert wurde, enthält mindestens eine falsche Annahme, und diese liegt selten dort, wo man sie erwartet: ein Administratorzugang, den seit dem Weggang einer Mitarbeiterin oder eines Mitarbeiters niemand mehr besitzt, ein ausserhalb gelagertes Backup, dessen Wiederherstellung vier Tage statt vier Stunden dauert, eine Versicherung, die vor jedem Eingriff eine Benachrichtigung verlangt und sonst die Übernahme verweigert, ein Dienstleister, dessen Vertrag Wochenenden nicht abdeckt.
Diese blinden Flecken entdeckt man nicht beim erneuten Lesen des eigenen Dokuments, weil man liest, was man beim Schreiben für wahr hielt. Sie zeigen sich, wenn jemand von aussen, der bereits Vorfälle erlebt hat, die Fragen stellt, die man selbst nicht zu stellen bedenkt. Das ist der Unterschied zwischen einem Plan, der existiert, und einem Plan, der funktioniert.
Dieses Dokument bildet somit eine solide Grundlage, ersetzt aber keine Überprüfung Ihrer tatsächlichen Situation. Um Ihren allgemeinen Vorbereitungsstand einzuordnen, umfasst der Cyber-Check-up mehrere Fragen zur Reaktion auf Vorfälle, und die übrigen Krisenreflexe sind im Themenbereich Auf einen Vorfall reagieren zusammengefasst.